将日志路由到支持的目的地

控制台

1. 在 Google Cloud 控制台中，转到日志路由器页面：

   前往日志路由器

   如果您使用搜索栏查找此页面，请选择子标题为 Logging 的结果。

2. 选择您要将日志条目路由到的 Google Cloud 项目。

   例如，如果您想将数据访问日志条目从名为 Project-A 的项目路由到名为 Project-B 的项目中的日志存储桶，请选择 Project-A。

3. 选择创建接收器。

4. 在接收器详情面板中，输入以下详细信息：

   • 接收器名称：提供接收器的标识符。请注意，创建接收器后，您无法重命名接收器，但可以将其删除并创建新的接收器。

   • 接收器说明（可选）：描述接收器的用途或使用场景。

5. 在接收器目标位置面板中，使用选择接收器服务菜单选择接收器服务和目标位置。执行以下任一操作：

   • 如需将日志条目路由到同一 Google Cloud 项目中的服务，请选择以下选项之一：

     • Cloud Logging 存储桶：选择或创建 Logging 存储桶。
     • BigQuery 数据集：选择或创建用于接收路由日志条目的可写数据集。您还可以选择使用分区表。
     • Cloud Storage 存储桶：选择或创建用于接收路由日志条目的特定 Cloud Storage 存储桶。
     • Pub/Sub 主题：选择或创建用于接收路由日志条目的特定主题。
     • Splunk：为您的 Splunk 服务选择 Pub/Sub 主题。

   • 如需将日志条目路由到其他 Google Cloud 项目，请选择 Google Cloud 项目，然后输入目标的完全限定名称。如需了解语法，请参阅目标路径格式。

   • 如需将日志条目路由到位于其他 Google Cloud 项目中的服务，请执行以下操作：

     1. 选择其他资源。
     2. 输入目标的完全限定名称。如需了解语法，请参阅目标路径格式。

6. 指定要包含的日志条目：

   1. 前往选择要包含在接收器中的日志面板。

   2. 在构建包含项过滤条件字段中，输入与要包含的日志条目匹配的过滤条件表达式。如需详细了解编写过滤条件的语法，请参阅 Logging 查询语言。

      如果您不设置过滤条件，来自所选资源的所有日志条目都会路由到目标位置。

      例如，如需将所有数据访问日志条目路由到 Logging 存储桶，您可以使用以下过滤条件：

      log_id("cloudaudit.googleapis.com/data_access") OR log_id("externalaudit.googleapis.com/data_access")
      

      过滤条件的长度不能超过 20,000 个字符。

   3. 要验证您输入的过滤条件是否正确，请选择预览日志。日志浏览器会在新标签页中打开，其中预填充了过滤条件。

7. （可选）配置排除过滤条件以排除部分包含的日志条目：

   1. 前往选择要从接收器中过滤掉的日志面板。

   2. 在排除项过滤条件名称字段中输入名称。

   3. 在构建排除项过滤条件部分，输入与要排除的日志条目匹配的过滤条件表达式。您还可以使用 sample 函数选择要排除的日志条目。

   您最多可以为每个接收器创建 50 个排除过滤器。请注意，过滤条件的长度不能超过 20000 个字符。

8. 选择创建接收器。

9. 向接收器的服务账号授予向接收器目标位置写入日志条目的权限。如需了解详情，请参阅设置目标位置权限。

gcloud

要创建接收器，请执行以下操作：

1. 运行以下 gcloud logging sinks create 命令：

   gcloud logging sinks create SINK_NAME SINK_DESTINATION
   

   在运行命令之前，请先进行以下替换：

   • SINK_NAME：日志接收器的名称。数据流接收器一经创建便无法更改其名称。

   • SINK_DESTINATION：您希望将日志条目路由到的服务或项目。使用适当的路径设置 SINK_DESTINATION，如目标路径格式中所述。

     例如，如果您的接收器目标位置是 Pub/Sub 主题，则 SINK_DESTINATION 如下所示：

     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
     

   您还可以提供以下选项：

   • --log-filter：使用此选项可设置与要包含在接收器中的日志条目匹配的过滤条件。如果您未为包含项过滤条件提供值，则此过滤条件将与所有日志条目匹配。
   • --exclusion：使用此选项可设置要从接收器中排除的日志条目的排除过滤器。您还可以使用 sample 函数选择要排除的日志条目。此选项可以重复；您最多可以为每个接收器创建 50 个排除过滤器。
   • --description：使用此选项来描述接收器的用途或用例。

   例如，如需创建 Logging 存储桶的接收器，您的命令可能如下所示：

   gcloud logging sinks create my-sink logging.googleapis.com/projects/myproject123/locations/global/buckets/my-bucket \
    --log-filter='logName="projects/myproject123/logs/matched"' --description="My first sink"
   

   如需详细了解如何使用 Google Cloud CLI 创建接收器，请参阅 gcloud logging sinks 参考文档。

2. 如果命令响应包含标记为 "writerIdentity" 的 JSON 密钥，请向接收器的服务账号授予写入接收器目标位置的权限。如需了解详情，请参阅设置目标位置权限。

   如果响应不包含标记为 "writerIdentity" 的 JSON 键，则无需设置目标位置权限。

REST

1. 如需在 Google Cloud 项目中创建日志记录接收器，请使用 Logging API 中的 projects.sinks.create。在 LogSink 对象中，在方法请求正文中提供适当的必需值：

   • name：接收器的标识符。请注意，创建接收器后，您无法重命名接收器，但可以删除它并创建新的接收器。

   • destination：您希望将日志条目路由到的服务和目标位置。如需将日志条目路由到其他项目，或路由到其他项目中的目标位置，请使用适当的路径设置 destination 字段，如目标路径格式中所述。

     例如，如果您的接收器目标位置是 Pub/Sub 主题，则 destination 如下所示：

     pubsub.googleapis.com/projects/PROJECT_ID/topics/TOPIC_ID
     

2. 在 LogSink 对象中，提供适当的可选信息：

   • filter：设置 filter 字段，使其与要包含在接收器中的日志条目匹配。如果您不设置过滤条件，则来自 Google Cloud 项目的所有日志条目都会路由到目标位置。请注意，过滤条件的长度不能超过 20000 个字符。
   • exclusions：设置此字段以匹配要从接收器中排除的日志条目。您还可以使用 sample 函数选择要排除的日志条目。您最多可以为每个接收器创建 50 个排除过滤器。
   • description：设置此字段，以描述接收器的用途或用例。

3. 调用 projects.sinks.create 以创建接收器。

4. 如果 API 响应包含标记为 "writerIdentity" 的 JSON 密钥，请向接收器的服务账号授予写入接收器目标位置的权限。如需了解详情，请参阅设置目标位置权限。

   如果 API 响应不包含标记为 "writerIdentity" 的 JSON 键，则您无需设置目标位置权限。

如需详细了解如何使用 Logging API 创建接收器，请参阅 LogSink 参考。

控制台

1. 在 Google Cloud 控制台中，转到日志路由器页面：

   前往日志路由器

   如果您使用搜索栏查找此页面，请选择子标题为 Logging 的结果。

2. 在工具栏中，选择包含接收器的资源。资源可以是项目、文件夹、组织或结算账号。

日志路由器页面会显示所选资源中的接收器。表中每一行都包含接收器属性的相关信息：

• 已启用：指示是启用还是停用接收器的状态。
• 类型：接收器的目标服务，例如 Cloud Logging bucket。
• 名称：接收器的标识符，在创建接收器时提供，例如 _Default。
• 说明：接收器的说明，在创建接收器时提供。
• 目标位置：要将路由的日志条目发送到的目标位置的全名。
• 已创建：创建接收器的日期和时间。
• 上次更新时间：上次修改接收器的日期和时间。

对于每行表格，more_vert 更多操作菜单提供以下选项：

• 查看接收器详情：显示接收器的名称、说明、服务、目标位置、包含过滤器和排除过滤器。选择修改后，系统会打开修改接收器面板。
• 修改接收器：打开修改接收器面板，您可在其中更改接收器的参数。
• 停用接收器：允许您停用接收器并停止将日志条目路由到接收器的目标位置。如需详细了解如何停用接收器，请参阅停止在日志存储分区中存储日志。
• 启用接收器：用于启用已停用的接收器，并重新开始将日志条目路由到接收器的目标位置。
• 删除接收器：允许您删除接收器，并停止将日志条目路由到接收器的目标位置。
• 排查接收器问题：打开日志浏览器，您可以在其中排查接收器错误。
• 查看接收器日志量和错误率：打开 Metrics Explorer，您可以在其中查看和分析来自接收器的数据。

如需按某个列对表格进行排序，请选择该列的名称。

gcloud

• 如需查看您的 Google Cloud 项目的接收器列表，请使用 gcloud logging sinks list 命令，它对应于 Logging API 方法 projects.sinks.list：

  gcloud logging sinks list
  

  如需查看汇总接收器列表，请使用适当的选项指定包含接收器的资源。例如，如果您在组织级层创建接收器，请使用 --organization=ORGANIZATION_ID 选项列出组织的接收器。

• 如需描述接收器，请使用 gcloud logging sinks describe 命令，它对应于 Logging API 方法 projects.sinks.get：

  gcloud logging sinks describe SINK_NAME
  

• 如需更新接收器，请使用 gcloud logging sinks update 命令，它对应于 API 方法 projects.sink.update。

  您可更新接收器以更改目标位置、过滤条件和说明，或者停用或重新启用接收器：

  gcloud logging sinks update SINK_NAME NEW_DESTINATION --log-filter=NEW_FILTER

  如果这些部分未更改，请省略 NEW_DESTINATION 或 --log-filter。

  例如，要将名为 my-project-sink 的接收器的目标位置更新为名为 my-second-gcs-bucket 的新 Cloud Storage 存储桶目标位置，您的命令如下所示：

  gcloud logging sinks update  my-project-sink storage.googleapis.com/my-second-gcs-bucket
  

• 如需停用接收器，请使用与 API 方法 projects.sink.update 相对应的 gcloud logging sinks update 命令，并添加 --disabled 选项：

  gcloud logging sinks update SINK_NAME --disabled
  

  如需重新启用接收器，请使用 gcloud logging sinks update 命令、移除 --disabled 选项并添加 --no-disabled 选项：

  gcloud logging sinks update SINK_NAME --no-disabled
  

• 如需删除接收器，请使用 gcloud logging sinks delete 命令，它对应于 API 方法 projects.sinks.delete：

  gcloud logging sinks delete SINK_NAME
  

  如需详细了解如何使用 Google Cloud CLI 管理接收器，请参阅 gcloud logging sinks 参考文档。

REST

• 如需查看 Google Cloud 项目的接收器，请调用 projects.sinks.list。

• 如需查看接收器的详细信息，请调用 projects.sinks.get。

• 如需更新接收器，请调用 projects.sink.update。

  您可以更新接收器的目标位置、过滤条件和说明。您还可以停用或重新启用接收器。

• 如需停用接收器，请将 LogSink 对象中的 disabled 字段设置为 true，然后调用 projects.sink.update。

  如需重新启用接收器，请将 LogSink 对象中的 disabled 字段设置为 false，然后调用 projects.sink.update。

• 要删除接收器，请调用 projects.sinks.delete。

  如需详细了解如何使用 Logging API 管理接收器，请参阅 LogSink 参考文档。

控制台

1. 在 Google Cloud 控制台中，转到日志路由器页面：

   前往日志路由器

   如果您使用搜索栏查找此页面，请选择子标题为 Logging 的结果。

2. 如需查找将日志条目路由到 _Default 日志存储桶的所有接收器，请按目标位置过滤接收器，然后输入 _Default。

3. 对于每个接收器，依次选择 more_vert Menu（菜单），然后选择 Disable sink（停用接收器）。

   接收器现已停用，您的 Google Cloud 项目接收器不会再将日志条目路由到 _Default 存储桶。

如需重新启用已停用的接收器，并重新开始将日志条目路由到接收器的目标位置，请执行以下操作：

1. 在 Google Cloud 控制台中，转到日志路由器页面：

   前往日志路由器

   如果您使用搜索栏查找此页面，请选择子标题为 Logging 的结果。

2. 如需查找将日志条目路由到 _Default 日志存储桶的所有接收器，请按目标位置过滤接收器，然后输入 _Default。
3. 对于每个接收器，依次选择 more_vert Menu（菜单），然后选择 Enable sink（启用接收器）。

gcloud

1. 如需查看您的 Google Cloud 项目的接收器列表，请使用 gcloud logging sinks list 命令，它对应于 Logging API 方法 projects.sinks.list：

   gcloud logging sinks list
   

2. 确定路由到 _Default 日志存储桶的任何接收器。如需描述接收器（包括查看目标位置名称），请使用 gcloud logging sinks describe 命令，它对应于 Logging API 方法 projects.sinks.get：

   gcloud logging sinks describe SINK_NAME
   

3. 运行 gcloud logging sinks update 命令并添加 --disabled 选项。例如，如需停用 _Default 接收器，请使用以下命令：

   gcloud logging sinks update _Default  --disabled
   

   _Default 接收器现已停用，它不再将日志条目路由到 _Default 日志存储桶。

如需停用 Google Cloud 项目中路由到 _Default 存储桶的其他接收器，请重复前面的步骤。

如需重新启用接收器，请使用 gcloud logging sinks update 命令、移除 --disabled 选项并添加 --no-disabled 选项：

gcloud logging sinks update _Default  --no-disabled

REST

1. 如需查看 Google Cloud 项目的接收器，请调用 Logging API 方法 projects.sinks.list。

   确定路由到 _Default 存储桶的任何接收器。

2. 例如，如需停用 _Default 接收器，请将 LogSink 对象中的 disabled 字段设置为 true，然后调用 projects.sink.update。

   _Default 接收器现已停用，它不再将日志条目路由到 _Default 存储桶。

如需停用 Google Cloud 项目中路由到 _Default 存储桶的其他接收器，请重复前面的步骤。

如需重新启用接收器，请将 LogSink 对象中的 disabled 字段设置为 false，然后调用 projects.sink.update。

控制台

1. 确保您对包含目标位置的 Google Cloud 项目拥有 Owner 访问权限。如果您没有对接收器目标位置的 Owner 访问权限，请让项目所有者将写入者身份添加为正文。

2. 如需从新接收器获取接收器的写入者身份（电子邮件地址），请执行以下操作：

   1. 在 Google Cloud 控制台中，转到日志路由器页面：

      前往日志路由器

      如果您使用搜索栏查找此页面，请选择子标题为 Logging 的结果。

   2. 在工具栏中，选择包含接收器的项目。
   3. 选择 more_vert Menu，然后选择 View sink details。写入者身份会显示在接收器详情面板中。

3. 如果 writerIdentity 字段的值包含电子邮件地址，请继续执行下一步。当值为 None 时，您无需为接收器配置目标位置权限。

4. 将接收器的写入者身份复制到剪贴板。

5. 如果目标是其他项目中的服务，或者是其他项目，请在工具栏中选择目标项目。

6. 在目标项目中将服务账号添加为 IAM 正文：

   1. 在 Google Cloud 控制台中，进入 IAM 页面：

      前往 IAM

      如果您使用搜索栏查找此页面，请选择子标题为 IAM 和管理的结果。

   2. 选择目标项目。

   3. 点击 person_add 授予访问权限。

   4. 向服务账号授予所需的 IAM 角色：

      • 对于 Cloud Storage 目标位置，请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予 Storage Object Creator 角色 (roles/storage.objectCreator)。
      • 对于 BigQuery 目标位置，请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予 BigQuery Data Editor 角色 (roles/bigquery.dataEditor)。
      • 对于 Pub/Sub 目的地（包括 Splunk），请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予 Pub/Sub Publisher 角色 (roles/pubsub.publisher)。
      • 对于不同 Google Cloud 项目中的 Logging 存储桶目标位置，请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予“日志存储桶写入者”角色 (roles/logging.bucketWriter)。
      • 对于 Google Cloud 项目目的地，请使用 IAM 将接收器的写入者身份添加为正文，然后向其授予 Logs Writer 角色 (roles/logging.logWriter)。具体而言，正文需要拥有 logging.logEntries.route 权限。

gcloud

1. 确保您对包含目标位置的 Google Cloud 项目拥有 Owner 访问权限。如果您没有对接收器目标位置的 Owner 访问权限，请让项目所有者将写入者身份添加为正文。

2. 从接收器中的 writerIdentity 字段获取服务账号：

   gcloud logging sinks describe SINK_NAME
   

3. 找到您要修改权限的接收器，如果接收器详情包含包含 writerIdentity 的一行，请继续执行下一步。如果详细信息不包含 writerIdentity 字段，则无需为接收器配置目标位置权限。

   服务账号的写入者身份类似于以下内容：

   serviceAccount:service-123456789012@gcp-sa-logging.iam.gserviceaccount.com
   

4. 在目标项目中将服务账号添加为 IAM 正文：

   在使用以下命令之前，请先进行以下替换：

   • PROJECT_ID：项目的标识符。
   • PRINCIPAL：您要授予该角色的主账号的标识符。主账号标识符通常采用以下格式：PRINCIPAL-TYPE:ID。例如 user:my-user@example.com。 如需查看 PRINCIPAL 可采用的格式的完整列表，请参阅主账号标识符。

   • ROLE：IAM 角色。

     • 对于 Cloud Storage 目标位置，请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予 Storage Object Creator 角色 (roles/storage.objectCreator)。
     • 对于 BigQuery 目标位置，请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予 BigQuery Data Editor 角色 (roles/bigquery.dataEditor)。
     • 对于 Pub/Sub 目的地（包括 Splunk），请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予 Pub/Sub Publisher 角色 (roles/pubsub.publisher)。
     • 对于不同 Google Cloud 项目中的 Logging 存储桶目标位置，请使用 IAM 将接收器的写入者身份添加为正文，然后为其授予“日志存储桶写入者”角色 (roles/logging.bucketWriter)。
     • 对于 Google Cloud 项目目的地，请使用 IAM 将接收器的写入者身份添加为正文，然后向其授予 Logs Writer 角色 (roles/logging.logWriter)。具体而言，正文需要拥有 logging.logEntries.route 权限。

   执行 gcloud projects add-iam-policy-binding 命令：

   gcloud projects add-iam-policy-binding PROJECT_ID --member=PRINCIPAL --role=ROLE
   

REST

我们建议您使用 Google Cloud 控制台或 Google Cloud CLI 向服务账号授予角色。